CVE-2026-69110

Nome do Software Vulnerável e Versões Afetadas OpenCode Studio versões anteriores a 2.4.4

Descrição A ausência de autenticação permite que atacantes remotos leiam arquivos arbitrários nos diretórios temp e static/music. Isso é feito através do acesso aos endpoints 'GET /api/tmp/:tmpFile' e 'GET /api/music/:fileName', permitindo a recuperação de áudios intermediários, artefatos de vídeo e legendas de outros usuários. Além disso, atacantes podem excluir vídeos por ID usando o endpoint 'DELETE /api/short-video/:videoId'. As variáveis vulneráveis incluem tmpFile, fileName e videoId.

Recomendações Atualize para a versão 2.4.4 ou posterior. Restrinja o acesso aos endpoints 'GET /api/tmp/:tmpFile', 'GET /api/music/:fileName' e 'DELETE /api/short-video/:videoId' como medida de mitigação temporária.